前不久，很多国内外媒体都曝光了Android厂商涉及安装假安全补丁的消息，一时间闹得人人自危。那么，我们手中的智能手机到底安不安全，如何才能避免让其从“掌中宝”变成“掌心雷”呢？

  

因智能扮演“掌中宝”

智能手机的崛起，彻底改变了我们的生活。以往，查找资料、购物聊天、视频游戏都会被PC限制到写字台的一亩三分地上，如今通过智能手机可以实现90%以上的PC功能，随时随地解决各种生活、学习、娱乐和办公需求。

可以说，智能手机已然成为很多用户的“掌中宝”，借助丰富的APP，只有想不到的功能，没有办不到的功能。

安全风险异变“掌心雷”

随着移动支付的兴起，很多用户出门不再携带钱包，乘车、购物、理财、转账，都已习惯在手机端完成。在享受移动支付便利的同时，我们必然也将面临潜在的安全风险。

和PC与Windows系统一样，智能手机同样存在硬件和软件层面的安全漏洞，一旦有黑客借助漏洞发起攻击，智能手机就不再是掌中宝，而是掌心雷，一不留意就能炸开保护个人隐私和财产安全的大门。

系统漏洞的危害在哪里

以普及度最高的Android为例，谷歌对该系统的漏洞危险评级标准分为严重、高危、中危三个级别，其中高危及严重漏洞对用户影响较大。

同时，Android系统的漏洞还可划分为本地漏洞和远程漏洞，其中远程攻击漏洞危险等级高、被利用风险最大，所以备受厂商关注。

不要以为Android系统漏洞与我们很遥远，360发布的《2017年安卓系统安全性生态环境研究报告》数据显示，受高危漏洞影响的Android设备数占比高达93.9%，存在远程攻击漏洞的手机占比92.3%，而漏洞最多的设备同时包含有49个安全漏洞！

那么，高危漏洞的威胁到底有多大？2018年1月腾讯安全玄武实验室与知道创宇404实验室就联合披露了攻击威胁模型——“应用克隆”：在Android手机上，“攻击者”向用户发送一条包含恶意链接的手机短信，用户一旦点击其账户一秒钟就会被“克隆”到“攻击者”的手机中，“攻击者”可任意查看用户信息并可直接操作该应用。

这个漏洞的原理，是将APP沙盒里的私有数据（/DATA/DATA/$PackgeName）复制到新手机里，而APP不会发现这个操作，在启动时也无需验证安全环境。利用WebView的问题，可通过网页上传其他APP沙盒里的私有数据

换句话说，我国超过90%的Android设备因远程攻击漏洞的存在而面临着被黑客远程控制的威胁：在无需系统级账户验证的情况下，黑客便能通过网络访问目标，进而利用漏洞实现对用户手机控制的目标。

此时，一旦用户手机数据缺口被打开，个人信息、私密文件、移动支付账号密码等都将暴露在外。通过短信劫持，各种验证码和扣费、交易提醒短信也不会发到机主手机上，最终被黑客在神不知鬼不觉中就“收入囊中”，用户的人身和财产安全便彻底失去了保障。

来自谷歌的亡羊补牢

对操作系统而言，存在漏洞并不稀奇，和Windows系统相比，Android系统的安全漏洞其实并不算多。但是，正是由于越来越多用户都将手机作为了钱包使用，其潜在的安全隐患就要比Windows来的更加猛烈了。